feat(ingest): P2/S1.b — innholdsgaten står, rundt materialize og ikke i den

Planens §3 sa at `ingest.materialize` er repoets ENE skrivepunkt på Door A, og
det premisset ble felt av måling FØR bygging: `materialize` er en ren delegasjon
til pinnet llm_ingestion_okf v0.3.2s `materialize_bundle`, som stager i minnet og
utfører sin egen disk-fase. Det finnes ingen callback mellom de to, så en gate
plassert der kunne bare kjørt ETTER at bytene landet — en opprydding, ikke en gate.

Sømmen ble i stedet kopier bundelen → materialiser inn i kopien → skann det som
ble generert → publiser eller forkast. Kopien er bærende, ikke bekvemmelighet:
bibliotekets §3 eierskaps-skann, kollisjonsgaten mot kuratert innhold og §6
index-merge leser alle den EKSISTERENDE bundelen. Staging i tom katalog mister
alle tre og publiserer en bundle uten kuraterte naboer — datatap forkledd som
sikkerhetsfiks.

De fire §4-beslutningene, tatt og målt: (1) ingen av guardens to preset —
Origin.EXTERNAL/AUTOMATIC, fordi trust_for utleder policy fra origin alene og
PRESET_USER_UPLOAD bærer en quarantine-semantikk Door A ikke har; (2) utfall per
BUNDLE, diagnostikk per DOKUMENT — delvis publisering ville etterlatt bundle +
index som svarer til intet manifest, men import_bundle itererer forbi første
avvisning; (3) Report til log.md, aldri konsept-frontmatter, der fire golden-suiter
pinner bytene; (4) mypy-override OG adapter, siden override alene gjør sømmen
type-blind i stedet for type-sikker.

`materialize` forblir ugatet med vilje — goldenene pinner den, og en kaller som
vil ha gaten ber om den ved navn.

Fem mutasjoner alle røde + grønn kontroll (hele suiten, ~120 s hver): detach
gaten · la den fyre ETTER publisering · Origin.INTERNAL · tom staging-katalog ·
rapporter kun første avvisning.

Målingen felte en VAKUØS test først: en hard injeksjon scorer fail_secure under
BEGGE trust-tierene, så Origin.INTERNAL-mutasjonen lot alle tre avvisningstestene
stå grønne — beslutning 1 så dekket ut uten å være testet. Båndet der tieren
faktisk avgjør er høy-entropi-innhold (quarantine_review vs warn), og testen ble
skrevet mot nøyaktig det før mutasjonen ble re-målt. Mutasjon 4 ble på sin side
felt av KUN én test; 809 andre merket ikke at bundle-kopien forsvant.

Laveste disposition er `warn`, ikke `allow` — `allow` finnes ikke i guarden. En
gate skrevet mot == allow ville avvist hvert dokument som noensinne ingestes.

Kriterium 5 står: demo-stdout er byte-identisk med tests/golden/demo-transcript.stdout,
målt både i suiten og ved eksplisitt kjøring. shared/ er urørt.

801 -> 810 passed / 4 skipped.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01DDu94KoyxAmhJsG2n63X8Q

pyproject.toml

@@ -28,6 +28,7 @@ dependencies = [
     # `uv run mypy src` outright. Raise both floors together or not at all.
     "numpy>=2.0,<2.3",
     "llm-ingestion-okf",               # Door A ingest (§4–§6) — the shared implementation of shared/ingest-spec.md; zero runtime deps, MAF-free (D7)
+    "llm-ingestion-guard",             # Door A content gate — scans materialized concepts before they reach the bundle; zero runtime deps, MAF-free (D7)
 ]
 
 # Console entry points — the install surface a fresh clone gets from `uv sync` (P4 pkt. 5).
@@ -44,6 +45,10 @@ portfolio-optimiser-demo = "portfolio_optimiser.simulation:main"
 # consumer, uv.lock pins the exact commit behind the tag. Bump the rev on a new library tag.
 [tool.uv.sources]
 llm-ingestion-okf = { git = "https://git.fromaitochitta.com/open/llm-ingestion-okf.git", rev = "v0.3.2" }
+# Pinned to a TAG, never a floating ref — a security component whose version can move under a
+# `uv sync` is a gate that can stop gating without a local diff (the okf `generated`-literal
+# lesson, measured 2026-08-09). Bumping this is a decision, not maintenance.
+llm-ingestion-guard = { git = "https://git.fromaitochitta.com/open/llm-ingestion-pipeline-security.git", rev = "v0.3.4" }
 
 # Dev tooling as a PEP 735 dependency-group (uv includes it by default in `uv sync`/`uv run`),
 # so the documented bare `uv sync` + `uv run pytest` workflow installs it without `--extra`.
@@ -83,5 +88,10 @@ python_version = "3.10"
 
 # Third-party libs without bundled type stubs (py.typed) — analysed as untyped, not errors.
 [[tool.mypy.overrides]]
-module = ["pulp.*", "agent_framework_foundry.*"]
+module = ["pulp.*", "agent_framework_foundry.*", "llm_ingestion_guard.*"]
 ignore_missing_imports = true
+# NOTE on `llm_ingestion_guard`: the override alone would make the seam type-BLIND, not
+# type-safe — every symbol arrives as `Any`, so a field rename upstream would type-check
+# happily and fail at runtime. `ingest.materialize_gated` therefore coerces each value it
+# reads off the guard's result objects to a concrete type at the boundary (the okf precedent),
+# and the seam's behaviour is pinned by tests/test_ingest_content_gate_loadbearing.py.